這是什麼證書？
ISO/SAE 21434 定義了道路車輛網路安全工程的要求。 ISO 26262 解決功能安全（故障驅動的風險），而 21434 則解決故意攻擊引起的風險。它涵蓋了從概念階段到退休的整個生命週期，並將威脅分析和風險評估（TARA）置於其中心。
誰需要它？
- 汽車製造商和系統整合商
- ECU、遠端資訊處理和連接模組開發商
- 汽車軟體供應商
- 提供無線 (OTA) 軟體更新的公司
- 製造商獲得 UNECE R155 型式批准
是否為強制？
作為自願性標準，但其結果實際上是強制性的：UNECE R155 法規要求車輛類型批准需要網路安全管理系統 (CSMS)，而 ISO/SAE 21434 是符合此要求的參考標準。對於供應商來說，義務來自 OEM 合約。
標準適用範圍
- 組織網路安全管理：政策、角色、文化、能力
- 專案相關的網路安全管理和網路安全計劃
- 分散式網路安全活動：客戶和供應商之間分擔責任
- 持續的網路安全活動：漏洞監控、事件管理和回應
- 概念階段：專案定義、網路安全目標
- 威脅分析和風險評估 (TARA)：資產識別、威脅情境、影響評級、攻擊路徑分析、可行性和風險確定
- 產品開發：網路安全規格、整合和驗證
- 網路安全驗證和確認；滲透測試
- 生產、營運與維護：更新管理
- 支援結束和退役
驗證流程
- 1申請確定組織的活動領域、人員數量、地點數量和範圍邊界。审核天数是根据此信息计算的。
- 2文件審查（第一階段）檢查管理系統文件、範圍定義、風險評估和內部審計/管理評審記錄；評估現場審核的準備。
- 3認證審核（第二階段）經現場驗證，該制度得以落實、有效。調查結果分為主要/次要不合格項或觀察結果。
- 4關閉不合格項該組織提交根本原因分析和糾正行動計劃。在重大不合格問題解決之前，不會頒發證書。
- 5頒發證書此證書由獨立決策者審核後頒發。審核組不能做出認證決定。
- 6監督審核在證書有效期限內每年至少進行一次監督審核。第一次監測時間不能超過第二階段最後一天後的 12 個月。
- 7再認證三年結束時，對整個系統進行重新審核；必須在證書過期之前完成。
有效期限
管理體系證書的有效期限為三年。在此期間每年至少進行一次監督審核；如果不進行監督，證書將被暫停。再認證審核在第三年年底完成。
所需文件
- 商業登記記錄及經營許可證
- 該組織的組織結構圖和員工人數
- 範圍內的站點/分支機構列表
- 管理體系手冊或流程文件
- 内部审核和管理评审记录
- 法律許可、執照和經營文件（如有）
驗證費用
無固定牌價；費用依下列變數計算，並於報價中以書面形式提供。
- 範圍內的人數（直接決定審核天數）
- 站點和分支機構的數量；是否適用多點抽樣
- 活動的風險等級和流程複雜性
- 需要認證的標準數量—綜合審核減少了天數
- 三年周期：認證+兩次監督審核
認證
管理系統認證在ISO/IEC 17021-1範圍內進行。認證機構獲得IAF多邊認可協議（IAF MLA）締約方認可機構的認可；該協議建立了國際認可鏈，確保一個國家發布的文件被其他國家接受。 EUROLAB 獲得了 IAF 成員認證機構在 ISO/IEC 17021-1 範圍內的國際認可認證。
此方案可提供的範圍因您的產品與業務而異；將於報價階段以書面形式確認。
範圍和授權相關認證
常見問題
ISO/SAE 21434 和 UNECE R155 之間有什麼關係？
R155 是一項法規，需要 CSMS 來進行車輛類型批准； ISO/SAE 21434 是描述如何建造該系統的標準。是否符合 R155 由型式核准機構評估；遵守 21434 會產生支持它的工程證據。
塔拉和哈拉有什麼區別？
HARA (ISO 26262) 分析因故障而產生的安全隱患，而 TARA (ISO/SAE 21434) 則分析因蓄意攻擊而產生的網路安全風險。兩者是單獨的分析，但它們的結果可能會相互影響：網路攻擊可能導致違反安全目標的故障。